Техническая информация
Вредоносные функции:
Отправляет данные входящих SMS на удалённый хост.
Сетевая активность:
Подключается к:
- UDP(DNS) <Google DNS>
- TCP(HTTP/1.1) se####.d####.cloud:80
- TCP(TLS/1.0) 2####.58.207.227:443
- TCP(TLS/1.0) f####.gst####.com:443
- TCP(TLS/1.0) rr9---s####.g####.com:443
- TCP(TLS/1.0) p####.google####.com:443
- TCP(TLS/1.0) servert####.site:443
- TCP(TLS/1.0) gmscomp####.google####.com:443
- TCP(TLS/1.0) pla####.google####.com:443
- TCP(TLS/1.0) www.google####.com:443
- TCP(TLS/1.0) and####.a####.go####.com:443
- TCP(TLS/1.0) rr6---s####.g####.com:443
- TCP(TLS/1.0) se####.d####.cloud:443
- TCP(TLS/1.0) www.googlet####.com:443
- TCP(TLS/1.2) gmscomp####.google####.com:443
- TCP(TLS/1.2) www.google####.com:443
- TCP(TLS/1.2) 2####.58.207.227:443
- TCP(TLS/1.2) p####.google####.com:443
- TCP(TLS/1.2) 1####.250.74.100:443
- UDP p####.google####.com:443
Запросы DNS:
- a-ban####.diva####.com
- and####.a####.go####.com
- and####.google####.com
- api.d####.ir
- d####.ir
- f####.diva####.com
- f####.gst####.com
- firebas####.google####.com
- gmscomp####.google####.com
- p####.google####.com
- pla####.google####.com
- rr6---s####.g####.com
- rr9---s####.g####.com
- s####.diva####.com
- se####.d####.cloud
- servert####.site
- www.google####.com
- www.googlet####.com
Запросы HTTP GET:
- se####.d####.cloud/?deviceid=####
Запросы HTTP POST:
- gmscomp####.google####.com:443/v1/projects/fcmuser-4c7b0/installations
- servert####.site:443/divarPay/Beygi/GetLink.php
- servert####.site:443/divarPay/Beygi/RegisterDevice.php
- servert####.site:443/divarPay/Beygi/UploadSms.php
Изменения в файловой системе:
Создает следующие файлы:
- /data/data/####/-9099878871504622834
- /data/data/####/01b8a8b5c7616d53_0
- /data/data/####/04650a3d1e504764_0
- /data/data/####/04873b2b0c29b237_0
- /data/data/####/052b424df64c7a38_0
- /data/data/####/052b424df64c7a38_1
- /data/data/####/0ab6710f46c64ae5_0
- /data/data/####/0dc21e425ce69343_0
- /data/data/####/1184959823723163529
- /data/data/####/1338affe652ba3b2_0
- /data/data/####/173cb25ecd8fa548_0
- /data/data/####/173cb25ecd8fa548_1
- /data/data/####/17cd39cc8f0082d1_0
- /data/data/####/1856fd2c2b409ece_0
- /data/data/####/18d49bfae780a7c4_0
- /data/data/####/1cff7576a9b0cad9_0
- /data/data/####/213bb53306805749_0
- /data/data/####/2430075d656bc5da_0
- /data/data/####/2430075d656bc5da_1
- /data/data/####/266532600dcefb32_0
- /data/data/####/2c95848be2c234e0_0
- /data/data/####/2e929e340188d4d6_0
- /data/data/####/2fe6b85fb98c0b91_0
- /data/data/####/31aadd79f1a63dd0_0
- /data/data/####/31aadd79f1a63dd0_1
- /data/data/####/3353a74dfd7ca299_0
- /data/data/####/449274e68b75f323_0
- /data/data/####/518b626cfc921f2c_0
- /data/data/####/5431ce19286795f8_0
- /data/data/####/5431ce19286795f8_1
- /data/data/####/5676a8c9fcffd792_0
- /data/data/####/56d301f042d01a03_0
- /data/data/####/575447fb61f73458_0
- /data/data/####/575447fb61f73458_1
- /data/data/####/5bac1f31e6159827_0
- /data/data/####/5df707eca308f39b_0
- /data/data/####/5e82bcd4b8e9450f_0
- /data/data/####/69f93945fecbfb9e_0
- /data/data/####/6bd97dc5a1838d19_0
- /data/data/####/6d8664256ef3280b_0
- /data/data/####/6ea55cffe77e2382_0
- /data/data/####/704665d965c2dd22_0
- /data/data/####/7073c6b7dab7e944_0
- /data/data/####/7459011863971381_0
- /data/data/####/76e8abaf83ff4218_0
- /data/data/####/7a5ccf01727c9bbe_0
- /data/data/####/7b55d17478248b24_0
- /data/data/####/7bfa9d9131f0c48e_0
- /data/data/####/7f407fba62e77301_0
- /data/data/####/8358b193f4558d33_0 (deleted)
- /data/data/####/86e3e2b6c8d1f023_0
- /data/data/####/8b1cc64cca2a9603_0 (deleted)
- /data/data/####/8b7f01e56efdc1a7_0
- /data/data/####/8b7f01e56efdc1a7_1
- /data/data/####/8ba7993db7882c7c_0
- /data/data/####/8d45e8c596d114da_0
- /data/data/####/8df46a1f2c568694_0
- /data/data/####/8df46a1f2c568694_1
- /data/data/####/8e0f4363bf5cb133_0
- /data/data/####/Cookies-journal
- /data/data/####/FirebaseHeartBeatW0RFRkFVTFRd+MTo3MjMzOTQxODM1N...Ri.xml
- /data/data/####/PersistedInstallation.W0RFRkFVTFRd+MTo3MjMzOTQx...i.json
- /data/data/####/PersistedInstallation1621679329tmp
- /data/data/####/PersistedInstallation2034186086tmp
- /data/data/####/WebViewChromiumPrefs.xml
- /data/data/####/a431ae0cd89c1f5d_0
- /data/data/####/a431ae0cd89c1f5d_1
- /data/data/####/a75102bf296e1889_0
- /data/data/####/abbf873a62c2e60b_0
- /data/data/####/abbf873a62c2e60b_1
- /data/data/####/b172cdac5469eb5b_0
- /data/data/####/b69cc71c8bf80dc5_0
- /data/data/####/b89346aa2ce8069a_0
- /data/data/####/b89346aa2ce8069a_1
- /data/data/####/ba0f28e31a5f6d8d_0
- /data/data/####/ba0f28e31a5f6d8d_1
- /data/data/####/bde2c546ca1b0f6c_0
- /data/data/####/c02ef09bfcc3fe2b_0
- /data/data/####/c0e20714189b2106_0
- /data/data/####/c18c6ed73ae035e6_0
- /data/data/####/c5ccf5d747fb349d_0
- /data/data/####/c5ecfa22b6b6d2a3_0
- /data/data/####/ca9e32cb37d25ddf_0
- /data/data/####/com.google.android.gms.appid-no-backup
- /data/data/####/com.google.android.gms.appid.xml
- /data/data/####/com.myapplication.get_my_user_preferences.xml
- /data/data/####/d241dabe7ac69f2f_0
- /data/data/####/d2c06e866f280183_0
- /data/data/####/d2c06e866f280183_1
- /data/data/####/d62ba16204a18a52_0
- /data/data/####/d69b32aa34cfb548_0
- /data/data/####/da20e15f4de47ec2_0
- /data/data/####/da4de9be6ddd3bce_0
- /data/data/####/da4de9be6ddd3bce_1
- /data/data/####/db95d6c84e2fe83d_0
- /data/data/####/dc49eedd01be938b_0
- /data/data/####/e092eb0b12edbb75_0
- /data/data/####/eec9a12de8937463_0
- /data/data/####/f2b8d45413520ed9_0
- /data/data/####/fb24a1014bf300fd_0
- /data/data/####/fbc6b9b16e9ffcde_0
- /data/data/####/fe55587c246276c4_0
- /data/data/####/generatefid.lock
- /data/data/####/https_divar.ir_0.localstorage-journal
- /data/data/####/index
- /data/data/####/metrics_guid
- /data/data/####/myUserData.xml
- /data/data/####/profileinstaller_profileWrittenFor_lastUpdateTime.dat
- /data/data/####/temp-index
- /data/data/####/the-real-index
- /data/misc/####/primary.prof
Другие:
Использует следующие алгоритмы для расшифровки данных:
- AES-CBC-PKCS5Padding
Получает информацию о сети.
Получает информацию о телефоне (номер, IMEI и т. д.).
Отрисовывает собственные окна поверх других приложений.
